CVE-2026-42232

n8n: global prototype pollution przez XML Node prowadzący do RCE

CVSS 9.4v4.0pub. 2026-05-04upd. 2026-05-06

Podatność w platformie n8n do automatyzacji przepływów pracy umożliwia uwierzytelnionemu użytkownikowi wywołanie globalnego prototype pollution poprzez węzeł XML. W połączeniu z innymi węzłami może to prowadzić do zdalnego wykonania kodu (RCE) na serwerze.

▸ Pokaż oryginał (EN)

n8n is an open source workflow automation platform. Prior to versions 1.123.32, 2.17.4, and 2.18.1, an authenticated user with permission to create or modify workflows could achieve global prototype pollution via the XML Node leading to RCE when combined with other nodes exploiting the prototype pollution. This issue has been patched in versions 1.123.32, 2.17.4, and 2.18.1.

🤖 Analiza AI

Jak działa

Użytkownik posiadający uprawnienia do tworzenia lub modyfikowania przepływów pracy (workflows) może skonstruować złośliwy workflow wykorzystujący węzeł XML (XML Node). Węzeł ten przetwarza dane wejściowe w sposób umożliwiający modyfikację prototypu obiektów JavaScript na poziomie globalnym (CWE-1321 — prototype pollution). Zanieczyszczony prototyp może następnie zostać wykorzystany przez inne węzły w środowisku n8n do uzyskania wykonania dowolnego kodu po stronie serwera.

Skutki

Atakujący może doprowadzić do zdalnego wykonania kodu (RCE) na serwerze hostującym n8n, co w praktyce oznacza pełne przejęcie kontroli nad instancją oraz potencjalny dostęp do danych i systemów powiązanych z platformą.

Mitygacja

Należy zaktualizować n8n do wersji 1.123.32, 2.17.4 lub 2.18.1, w których podatność została naprawiona. Dodatkowo zaleca się ograniczenie uprawnień do tworzenia i modyfikowania workflows wyłącznie do zaufanych użytkowników.

Kogo dotyczy

Platforma n8n (n8n-io/n8n) w wersjach wcześniejszych niż 1.123.32, 2.17.4 oraz 2.18.1

Uwagi

Podatność wymaga posiadania konta z uprawnieniami do tworzenia lub modyfikowania workflows — nie jest exploitowalna bez uwierzytelnienia. Szczegóły techniczne dostępne w security advisory na GitHub: GHSA-hqr4-h3xv-9m3r.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X